Wprowadzenie

W poprzedniej części przygotowaliśmy Capsmana z wykorzystaniem różnych podsieci i nie zależnych serwerów DHCP. Dbając o bezpieczeństwo użytkowników, aplikacji czy serwerów, każda firma powinna rozważyć mikrosegmentacje sieci. Podział sieci na mniejsze wydzielone kawałki, zapewnia większą kontrolę nad tym co się w niej dzieje. Najprostszą metoda mikrosegmentacji jest wprowadzenie VLANów. Przygotowane wcześniej vlany możemy bez problemu rozgłaszać za pomocą Capsmana w Mikrotiku. Zaczniemy od przygotowaniu kilku vlanów. Dobrą praktyką jest używanie osobnego vlanu managmentowego odpowiedzialnego za zarządzanie urządzeniami. W naszym przypadku ID takiego vlanu to 77. Bazując na poprzednich konfiguracja przygotujemy osobny vlan dla Biura i osobny vlan dla Gości.

Router hAP ac3 LTE pracuje jako Capsman, router hAP ac3 jako CAP i mały router map lite, także jako CAP.

Konfiguracja Routera Głównego

W pierwszym kroku, zaczynamy od przygotowania nowego Bridge o nazwie switch, dodajemy do niego interfejsy sieciowe, do których podłączone są CAP. Ether4, Ether5 oraz Ether1 do którego podłączona jest moja stacja robocza.

W zależności od istniejącej konfiguracji sieci, możemy dowolne vlany rozciągnąć na Capsmanie. W obecnej konfiguracji Capsman będzie pełnił także rolę głównego routera z VLANami i dhcp serwerem. Przechodzimy na Interfaces->Vlan i dodajemy nowe vlany.

Tworzymy 3 nowe VLANy:

• VLAN77-MGMT: podsieć z ręcznym przydzielaniem adresów ip
• VLAN100-Biuro: podsieć przeznaczona dla biura, z dhcp serverm
• VLAN200-Gosc: podsieć przeznaczona dla gości, także z dhcp serwerem

Do poprawnej pracy serwera dhcp potrzebujemy adresacji IP. Przechodzimy na IP->Addresses i znakiem plusa tworzymy nowe wpisy. Pamiętaj o podaniu maski przy tworzeniu adresacji.

• VLAN77-MGMT – 192.168.77.1/24
• VLAN100-Biuro – 192.168.100.1/24
• VLAN200-Gosc – 10.10.200.1/24

Przechodzimy na IP->DHCP Server i dodajemy dwa serwery. Jeden dla podsieci biurowej, drugi dla podsieci gościnnej. Standardowo skorzystamy z kreatora DHCP Setup.

Konfiguracja Capsmana

Analogicznie jak w poprzednich częściach konfiguracje zaczynamy od przygotowania odpowiednich wpisów w Datapaths. Zaczynamy o przygotowania datapath dla sieci biurowej, czyli przekazujemy vlan 100. Znakiem plusa dodajemy nowy wpis.

• Name: podajemy dowolnie
• Local Forwarding: musi być zaznaczone
• Client to Client Forwarding: zaznaczamy tylko dla biura
• VLAN Mode: wybieramy use tag
• VLAN ID: 100 dla biura, 200 dla gości

Datapaths

Security Cfg.

Idąc w prawo po zakładkach przechodzimy na Security Cfg, które jest odpowiedzialne za rodzaj szyfrowania oraz ustawienie hasła dla sieci WiFi.

Configurations

Jednym z ostatnich kroków jest połączenie wszystkich wcześniej konfigurowanych ustawień w jeden spójny config. Przechodzimy na zakładkę Configurations i znakiem plusa dodajemy nowy wpis. W tym miejscu możemy na nowo zdefiniować parametry capsmana, bądź skorzystać z tych wcześniej przygotowanych. Dla zachowania większego porządku zalecam każdemu, aby tworzyć osobne wpisy w capmsanie, a dopiero na końcu wskazywać je tylko w ogólnym configu.  Tworzymy dwie niezależne sieci dla Biura i Gości, dlatego musimy utworzyć dwa osobne configi.

Provisioning

W zakładce provisioning wskazujemy jakie Access Pointy mogą pobierać konfigurację z capsmana. Pozostawiając 00:00:00:00:00 w polu Mac Address, nie nakładamy żadnych ograniczeń i każdy CAP będzie mógł podłączyć się do Capsmana. Definiując Mac Address możemy przygotować konfigurację per urządzenie.

Uruchomienie Capsmana

Przechodzimy na zakładkę Cap Interface i klikamy w Manager. Zaznaczamy opcje Enabled, która aktywuje usługę Capsmana.

Konfiguracja CAP’a

Konfiguracja Access Pointów z włączoną opcja Local Forwarding znacząco różni się od poprzednich ustawień. Jak pamiętasz wcześniejsze ustawienia sprowadzały się do dodania modułów bezprzewodowych do Capsmana. W przypadku Local Forwarding obsługa całego ruchu zostaje na CAPie dlatego musimy skonfigurować więcej opcji.

Dodanie Bridge

Z bocznego menu wybieramy Bridge i znakiem plusa tworzymy nowy wpis. Następnie w tym samym oknie przechodzimy na Ports i dodajemy interfejsy do bridge. Bardzo ważne, aby dodać także interfejs, którym poprzez który łączymy się z resztą sieci. W moim przypadku jest to ether1.

Adresacja i VLANy

VLAN100 i VLAN200 rozgłosimy za pomocą Capsmana i nie trzeba ich ustawiać ręcznie na Capie, ale VLAN77, czyli nasza podsieć managmentowa musi zostać skonfigurowana ręcznie. Przechodzimy na Interfaces->VLAN i dodajemy VLAN77.

W podsieci managmentowej nie ma serwer DHCP, dlatego w kolejnym kroku przypisujemy ręcznie adres IP dla VLANu 77. Z bocznego menu wybieramy IP->Addresses i znakiem plusa dodajemy nowy wpis.

Dodanie do Capsmana

Ostatnim krokiem jest dodanie modułów bezprzewodowych do Capsmana. Przechodzimy na Wireless i klikamy w opcje CAP. W przypadku Local Forwarding nie wskazujemy Discovery Interfaces, a Bridge wybieramy ręcznie. Bardzo ważne jest, aby podać poprawny adres IP przy Capsman Addresses.

Materiał Video

Polecany sprzęt

Z własnego doświadczenia mogę wam polecić poniższy sprzęt, z podziałem na ewentualne przeznaczenie routera.

Do domu i małej firmy(SOHO): hAP AX Lite , hAP AC3, RB4011, RB260GS, RB2011
hAP AC3 LTE, hAP AX2, hAP AX3, L009UiGS-2HaxD-IN, RB5009UG+S+IN, Audience

LTE: SXT LTE kit, SXT LTE6 kit, LHG 5, LHG LTE kit, Audience LTE, Chateau LTE6 ax, LTAP LTE6

Access Pointy: mAP lite, mAP, cAP AX, cAP XL AC

POE: hEX PoE

LAB: hEX lite

Średnia/Duża firma: CCR1036-12G-4S, CCR2004-16G-2S+